WMI Event Subscriptions: filtros y consumidores de eventos

3 tareas · 40 min · Principiante

Las suscripciones a eventos de WMI (Windows Management Instrumentation) permiten ejecutar acciones en respuesta a condiciones del sistema sin depender de ejecutables en carpetas de inicio. Su persistencia reside en el repositorio WMI y genera eventos específicos en Sysmon.

0 de 3 · 0%

Objetivo de la sala

Consulta wmi_event_subscriptions.txt en rt-tareas-servicios-wmi-guia y localiza la clase de consumidor detectada.

Esta tarea se hace en el laboratorio

Un escritorio Linux con terminal, aquí en la página. No instalas nada y no puedes romper nada.

Preparando el escritorio…

Responde para continuar

Según wmi_event_subscriptions.txt, ¿cuál es el nombre de la clase de consumidor detectada?

Ver pista de ayuda

Revisa la penúltima línea del archivo.

Revisa en wmi_event_subscriptions.txt la relación de eventos de Sysmon dedicados a registrar la creación de filtros de eventos WMI.

Esta tarea se hace en el laboratorio

Un escritorio Linux con terminal, aquí en la página. No instalas nada y no puedes romper nada.

Preparando el escritorio…

Responde para continuar

¿Qué identificador de evento de Sysmon documenta la creación o modificación de un __EventFilter de WMI?

Event ID 3 Event ID 19 Event ID 1 Event ID 10

Ver pista de ayuda

Sysmon reserva los eventos 19, 20 y 21 para la telemetría de WMI.

Analiza qué elemento conecta la consulta WQL del filtro con el consumidor que ejecuta la acción.

Esta tarea se hace en el laboratorio

Un escritorio Linux con terminal, aquí en la página. No instalas nada y no puedes romper nada.

Preparando el escritorio…

Responde para continuar

¿Cuál es el tercer componente requerido en WMI para asociar el filtro con el consumidor?

__FilterToConsumerBinding Win32_LogicalDisk __InstanceDeletionEvent ActiveDirectoryObject

Ver pista de ayuda

Es la clase encargada de vincular el __EventFilter con el EventConsumer.

Inicia sesión para registrar tus puntos y progreso en el ranking.

Entrar · Registrarse

Preparando el escritorio…

Objetivo: win-persistence.local

16:24

Terminal (user@whoami)

Tab Autocompletar ↑/↓ Historial

bash 5.2.21

Whoami-Labs OS v3.0.1 LTS · build 733482

1 Clase de consumidor identificada en la telemetría Lab

2 Evento de Sysmon para filtros WMI Lab

3 Componente de enlace en la suscripción WMI Lab

Whoami-Labs Pro utiliza cookies